Verificação de Segredos

É importante gerenciar suas credenciais (variáveis de ambiente) de forma adequada. A maneira mais comum de as pessoas exporem suas credenciais ao mundo externo é codificando-as diretamente nos arquivos de código, o que permite que um usuário malicioso utilize suas credenciais e os serviços aos quais elas têm acesso.

Por exemplo, este é o que um arquivo app.py comprometido pode parecer:

import numpy as np
import scipy as sp

api_key = "sw-xyz1234567891213"

def call_inference(prompt: str) -> str:
    result = call_api(prompt, api_key)
    return result

Para evitar esse problema, executamos o TruffleHog em cada push que você fizer. O TruffleHog faz a varredura em busca de segredos codificados em texto puro e enviaremos um e-mail para você ao detectá-los.

Você receberá e-mails apenas para segredos verificados, ou seja, aqueles que foram confirmados como funcionais para autenticação junto aos respectivos provedores. Observe, no entanto, que segredos não verificados não são necessariamente inofensivos ou inválidos: a verificação pode falhar por motivos técnicos, como no caso de um erro de rede.

O TruffleHog pode verificar segredos que funcionam em vários serviços, não se restringindo a tokens do Hugging Face.

Você pode desativar essas notificações por e-mail em suas configurações.

Se o segredo vazado for um token de acesso do Hugging Face, você pode invalidá-lo imediatamente — inclusive um token que não seja seu — veja Revogando um token vazado.